The Hacker Newsによると、Zoom Workplace for Windowsに深刻な脆弱性2件が見つかり、Zoomが修正アップデートを公開しました。入力検証の不備とオリジン検証の不備に起因し、認証を受けていない攻撃者がネットワーク経由で権限昇格を実行できる危険性があります。Windows端末で旧バージョンのZoom Workplaceを利用している企業環境では、早急なバージョン確認とパッチ適用が求められます。
The Hacker News：Critical Zoom Workplace Flaw Could Allow Unauthenticated Remote Privilege Escalation
社内のクライアント端末に未更新のZoom Workplaceが残っていないか不安な場合は、脆弱性診断で端末の管理状況を一括把握できます。
この記事のポイント
影響のあるシステム
- Zoom Workplace for Windows 7.1.0以上7.1.8未満（CVE-2026-108186の影響）
- Zoom Workplace for Windows 7.1.5未満（CVE-2026-108187の影響）
推奨される対策
- Zoom Workplace for Windowsを最新バージョン（CVE-2026-108186には7.1.8以降、CVE-2026-108187には7.1.5以降）へアップデートする
- 社内の各端末におけるZoom Workplaceのインストールバージョンを資産管理ツールなどで点検する【要確認：一次情報に記載なし】
この記事に出てくる専門用語
- CVE-2026-108186：Zoom Workplace for Windowsに存在する不適切な入力検証の脆弱性です。CVSSスコアは9.6と極めて高く、認証なしで権限昇格を許す恐れがあります。
- CVE-2026-108187：Zoom Workplace for Windowsに存在するオリジン検証の不備による脆弱性です。CVSSスコア8.1で、ネットワーク経由での権限昇格につながります。
- CVSS：情報システムの脆弱性の深刻度を評価する共通基準です。今回は最大10点満点中9.6や8.1といった高い深刻度が算出されています。
Zoom Workplaceで発見された2件の脆弱性の詳細
The Hacker Newsによると、ZoomはWindows版のZoom Workplaceに存在する2件のセキュリティ脆弱性を解消するため、ソフトウェアアップデートを公開しました。今回報告された脆弱性のうち、CVE-2026-108186はCVSSスコア9.6と評価されており、入力検証の不備に起因するものです。
もう一方のCVE-2026-108187はCVSSスコア8.1と判定されており、オリジン検証の欠陥に起因しています。どちらの欠陥も悪用された場合、認証を受けていない第三者がネットワーク経由で権限昇格を実行できる状態に置かれていました。
攻撃者は特別なアクセス権限や事前認証を必要としません。
私たち診断側の視点でも、事前の認証なしにリモートから権限昇格を許す脆弱性は、侵入後の水平展開や端末完全掌握の足がかりとして極めて悪用価値が高いと判断します。Zoom側は現時点で悪用の事実について言及していませんが、攻撃コードが公開されれば即座に標的となるリスクを抱えています。
Windows版Zoom Workplaceを標的とする攻撃の脅威
The Hacker Newsの報道によると、Zoom Workplace for Windowsでは2026年7月にも入力検証の不備を突く深刻な欠陥（CVE-2026-53412、CVSSスコア9.8）が修正されていました。この過去の欠陥は、未認証の攻撃者がユーザーアカウントを乗っ取ることを可能にする仕組みでした。
Web会議クライアントは多くの一般社員が通常業務で日常的に利用しており、ローカル管理者権限を持たない一般権限ユーザーの環境にもインストールされています。攻撃者が一般ユーザーの権限から上位の特権を奪取できれば、端末内部の監視ソフトの無力化や機密データの窃取へと一気に進みます。
クライアント端末の脆弱性はサーバーに比べて見過ごされがちですが、組織内LANに潜む攻撃者が足場を広げる格好の標的になります。
組織内の端末でZoom Workplaceのバージョンを確認する方法
The Hacker Newsが伝えた情報によると、影響を受けるソフトウェアの範囲は脆弱性ごとに異なっています。CVE-2026-108187はバージョン7.1.5より前のZoom Workplace for Windowsに影響し、CVE-2026-108186は7.1.0以降かつ7.1.8より前のバージョンに影響します。
情シス担当者は社内のWindowsクライアントに導入されているZoomのバージョンを把握し、以下の基準で最新パッチの適用状況を精査します。
- Zoom Workplace for Windowsのバージョンが7.1.5未満であれば、CVE-2026-108187に対処するため更新を実施する
- Zoom Workplace for Windowsのバージョンが7.1.0以上7.1.8未満であれば、CVE-2026-108186に対処するため7.1.8以降へ更新する
- 端末ごとの自動更新設定の有効化状態や、資産管理ツールでの一斉配布状況を確認する【要確認：一次情報に記載なし】
私たちホワイトハッカーの調査現場でも、一部の社員端末だけアップデートが保留されたまま放置されている光景をよく目にします。個々の利用者に任せるのではなく、管理側からバージョン7.1.8以降が全端末に適用されているかを集中的に検証することが確実な防御につながります。
参考文献・記事一覧
社内ネットワーク内のエンドポイント端末に潜む未修正の脆弱性を洗い出し、優先度を付けて対策を進めたい場合は脆弱性診断サービスの利用をご検討ください。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
